Nginx некорректно проксирует x-real-ip?

Question

[Vitali]

Есть nginx конфиг который выглядит приблизительно следующим образом.



Проблема в том что nginx почему то не проксирует real-ip на бекенд. А точнее проксирует, но вместо real ip — ip сервера.

server {<br>
<br>
  listen       80;<br>
<br>
  proxy_set_header X-Real-IP $remote_addr;<br>
  proxy_set_header X-Forwarded-For  $proxy_add_x_forwarded_for;<br>
  proxy_set_header X-NginX-Proxy true;<br>
  proxy_redirect off;<br>
<br>
  location / {<br>
<br>
    if ($request_uri ~* "/([a-zA-Z0-9]+)/([a-zA-Z0-9]+)" ) {<br>
      set  $shard  $1;<br>
      set  $hash   $2;<br>
    }<br>
<br>
    if ($shard = '5a5dc35b') {<br>
      proxy_pass        http://176.9.22.27/code/$2;<br>
    }<br>
  }<br>
}<br>

Вот то что в итоге приходит на бэкенд (Node.JS)

{ 'x-real-ip': '188.40.116.158',<br>
  'x-forwarded-for': '80.235.55.211, 188.40.116.158',<br>
  host: '176.9.22.27',<br>
  'x-nginx-proxy': 'true',<br>
  connection: 'close',<br>
  'cache-control': 'max-age=0',<br>
  'user-agent': 'Mozilla/5.0 (X11; Linux i686) AppleWebKit/535.11 (KHTML, like Gecko) Chrome/17.0.963.79 Safari/535.11',<br>
  accept: '*/*',<br>
  'accept-encoding': 'gzip,deflate,sdch',<br>
  'accept-language': 'en-US,en;q=0.8',<br>
  'accept-charset': 'ISO-8859-1,utf-8;q=0.7,*;q=0.3' }<br>

И так, позвольте я немного поясню.

80.235.55.211 — мой настоящий ip, именно его нужно проксировать на бэкенд

188.40.116.158 — ip сервера, это тот ip который подставляется вместо ip выше.

176.9.22.27 — ip куда проксируется запрос.



Подскажите пожалуйста, что я делаю не так и куда мне копать?

Answer 1

[Сергей Венедиктов]

Описание переменной:
$proxy_add_x_forwarded_for
поле заголовка запроса клиента “X-Forwarded-For” и добавленная к нему через запятую переменная $remote_addr. Если же поля “X-Forwarded-For” в заголовке запроса клиента нет, то переменная $proxy_add_x_forwarded_for равна переменной $remote_addr.

Тут налицо двойное проксирование. Покажите полный конфиг nginx.

Comments

[Vitali]

Держите.
hastebin.com/lorewofiva.nginx

[Сергей Венедиктов]

Из конфига непонятно, как так получается, но по логике вещей получается примерно так:
Двойной заголовок
'x-forwarded-for': '80.235.55.211, 188.40.116.158',
говорит о том, что в момент прихода запроса на обработку в этот виртуальный сервер (server {...}) уже был выставлен заголовок
'x-forwarded-for': '80.235.55.211'.
Т.е. либо Ваш броузер его выставил (крайне маловероятно), либо неким образом Ваш nginx перенаправил запрос сам на себя, либо что-то что стоит перед этим nginx проксировал на него. При этом получается что при повторной обработке запроса он пришел уже с самого этого сервера, и согласно документации к 'x-forwarded-for' добавляется адрес 188.40.116.158.

[Vitali]

Вы были правы, на лицо двойное проксирование только не в самом Nginxе а на стороне бэкенда переписывался X-Real-Ip

[Proritsatel]

Сергей Венедиктов, добрый день! А разве это не так работает как тут написано https://developer.mozilla.org/ru/docs/Web/HTTP/Hea... ?
X-Forwarded-For: <client>, <proxy1>, <proxy2>
Я предполагал, что можно пройти несколько прокси серверов и в итоге реальный ip не перепишется.
Я просто столкнулся с такой же проблемой, и не понимаю где мой ip теряется.

[Proritsatel]

Vitali А вы что думаете по этому поводу - X-Forwarded-For: <client>, <proxy1>, <proxy2>?

Answer 2

[zubovd]

nginx.org/ru/docs/http/ngx_http_realip_module.html в помощь
я добавил на бэкенде:
set_real_ip_from 10.0.3.1; // адрес проксирующего хоста
real_ip_header X-Real-IP;
real_ip_recursive on;

Answer 3

[charliez]

а попробуйте директивы proxy_set_header прописать непосредственно рядом с proxy_pass

Comments

[Vitali]

В условии if nginx не позволяет ставить proxy_pass. Есть какой нибудь ещё вариант?

[VBart]

Screatch
Зачем вы так усложнили конфиг?

location / {

    if ($request_uri ~* "/([a-zA-Z0-9]+)/([a-zA-Z0-9]+)" ) {
      set  $shard  $1;
      set  $hash   $2;
    }

    if ($shard = '5a5dc35b') {
      proxy_pass        http://176.9.22.27/code/$2;
    }
}

Это квивалентно:

location ~ /5a5dc35b/([a-zA-Z0-9]+) {
     proxy_pass http://176.9.22.27/code/$1;
}

[Vitali]

Спасибо, так лучше. С проблемой разобрался, проблема была на стороне бэкенда тоже стоял Nginx и он в очередной раз ставил переписал заголовок X-Real-IP.

Answer 4

[script88]

А вы случайно mod_rpaf не пропустили на бекенде?!

Comments

[Vitali]

На бэкенде не Apache стоит, ни о каких mod_rpaf не может быть и речи

Answer 5

[Алексей Калинин]

Помогите плиз (не хватает кармы для нового вопроса).
Есть nginx + apache + rpaf. При обращении к nginx пишет ип локальный. При обращении напрямую к apachе по 8080 порту — пишет ип пользователя. Конфиг типовой.

Comments

[Niko True]

такая же ерунда, никак решить не могу....

[starosta6123]

Niko True: поможет модуль для nginx nginx.org/ru/docs/http/ngx_http_realip_module.html